EU AI法を解説：リスク区分・適用期限・罰金

EU AI法は、AIシステムがもたらすリスクの大きさによって分類し、それぞれに見合った規則を定めるEUの規則です。2024年8月1日に発効し、数年かけて段階的に適用されています。禁止事項、AIリテラシーの義務、汎用AI（GPAI）モデルに関する規則はすでに適用されています。高リスクシステムに関する規則は、2026年に採択された「デジタル・オムニバス」と呼ばれる改正法により、2027年12月と2028年8月まで延期されました。

本ガイドは2026年10月時点の状況に基づいています。改定後のスケジュールの一部の詳細は、まだ明確になっていません。コンプライアンス上の判断を下す前に、官報に掲載された条文と、欧州委員会のAI法に関する公式ページをご確認ください。

EU AI法とは何か？

AI法は指令ではなく規則（レギュレーション）です。そのため、EU加盟国すべてに直接適用され、各国政府が自国の法律に組み込む必要はありません。正式な参照番号はRegulation (EU) 2024/1689で、2024年7月に公布されました。欧州議会の調査サービスは、全面的に適用されるまで少なくとも3年かかるように設計されていると指摘しています。

AI法は、特定の産業だけでなく分野横断的に適用される、初の包括的な水平型の法的枠組みとして広く評価されています。AIシステムはリスクに応じて規制され、汎用モデルはその能力に応じて規制されます。技術的な詳細は、ガイドライン、整合規格、任意の行動規範によって補完されます。

AI法のリスク区分とは？

法の条文は、AIシステムについて4段階のリスクレベルを定めており、汎用モデルについては別個の区分を設けています。以下の要約は法の構成に沿っています。具体的な境界線は、第5条、第6条、附属書IおよびIII、そして第50条で定義されています。

許容できないリスク（禁止）：社会的スコアリングや、人を操作したり脆弱性につけ込んだりするAIが該当します。顔画像の無差別なスクレイピングは禁止され、職場や学校での感情認識も、例外を除いて禁止されています。特定の生体情報による分類、プロファイリングのみに基づく予測的取り締まり、そして法執行のための公共空間におけるリアルタイムの遠隔生体認証（限定的な例外を除く）も禁止されています。

高リスク：2つの類型があります。附属書Iは、機械、医療機器、玩具など、すでにEUの製品法の対象となっている製品において安全構成要素として機能するAIを対象とします。附属書IIIは、機微な分野で使用される単独のシステムを対象とします。これには、生体認証、重要インフラ、教育、雇用、必須サービスおよび信用、法執行、移民・国境管理、司法および民主的プロセスが含まれます。

高リスクシステムの提供者は、リスク管理、データガバナンス、技術文書を整備しなければなりません。また、ログ記録、人間による監督、十分な精度と堅牢性も必要です。さらに、適合性評価、CEマーキング、EUデータベースへの登録が求められます。

限定的リスク（透明性、第50条）：チャットボットと対話していることを利用者に知らせる必要があり、ディープフェイクには表示が義務づけられます。AIが生成したコンテンツには、機械可読な表示も付与しなければなりません。最小限のリスク：スパムフィルターやビデオゲームなどの日常的なツールには、新たな義務は課されません。

汎用AIモデル：すべてのGPAI提供者は文書を保管し、著作権ポリシーを備えなければなりません。「システミックリスク」があるとみなされるモデルには、追加の義務が課されます。法は、学習に用いられる計算量が10^25 FLOPsを超える場合にシステミックリスクがあると推定しています。

EU AI法はいつ適用されるのか？現行のスケジュール

当初のスケジュールでは、禁止事項とAIリテラシーの義務は2025年2月2日に施行されました。GPAIの規則、ガバナンスに関する規定、罰則は2025年8月2日に続きました。附属書IIIの高リスク規則を含む残りの大部分の規定は2026年8月2日に適用される予定でした。附属書Iの高リスク規則は2027年8月2日とされていました。

この計画は変更されました。2025年11月19日、欧州委員会は「AIに関するデジタル・オムニバス」を提案しました。これは2024年のドラギ報告書で指摘された規制の複雑さへの懸念に一部応えたものです。欧州議会と理事会は2026年5月7日に暫定合意に達しました。欧州議会は6月16日に最終承認を与え、理事会は6月29日にテキストを採択しました。7月8日に署名され、2026年7月27日に官報に掲載されて発効しました。

改定後の日付では、附属書IIIの単独型高リスク規則は2027年12月2日から適用されます。規制対象製品に組み込まれたAIに関する附属書Iの規則は、2028年8月から始まります。Formalizeの分析によれば、一般的な禁止事項とGPAIの規則は延期されていません。

いくつかの点は未確定のままです。これには、オムニバス後の第50条の透明性およびウォーターマーキングの義務の正確な日付、新たな禁止事項が追加されたかどうか、そして小規模企業に対する救済措置の正確な範囲が含まれます。整合規格の策定も遅れていると報じられています。これらについては公式の条文で確認してください。

AI法は誰に適用されるのか？

法の適用範囲を定めた条文によれば、AIシステムをEU市場に投入する提供者は、所在地にかかわらず対象となります。また、EU域内に拠点を置くデプロイヤー（AIを利用する組織）、輸入者、販売者、製品製造者も対象です。EU域外の提供者やデプロイヤーであっても、そのシステムの出力がEU域内で利用される場合には対象となります。

この域外適用の範囲は、GDPRとよく似た仕組みです。トルコ、米国その他の国の企業であっても、AIをEUに販売する場合や、そのAIの出力がEU内で使用される場合には、適用対象となる可能性があります。EU域外の高リスクシステムおよびGPAIモデルの提供者は、EU域内に認定代理人を選任しなければなりません。

一部の用途は除外されています。軍事、防衛および国家安全保障、科学研究のみに用いられるAI、そして純粋に個人的で非職業的な利用がこれにあたります。ほとんどの無償のオープンソースソフトウェアも、一部の例外を除き対象外です。

EU AI法に基づく罰金はいくらか？

第99条は3段階の罰金を定めています。禁止事項に違反した場合、最大3,500万ユーロまたは全世界の年間売上高の7%のいずれか高い方が科される可能性があります。その他の事業者の義務の大半については、最大1,500万ユーロまたは3%が科されます。当局に誤った情報や誤解を招く情報を提供した場合は、最大750万ユーロまたは1%の罰金が科される可能性があります。

中小企業およびスタートアップについては、2つの金額のうち低い方が適用されます（第99条6項）。オムニバスによって、この扱いが「小規模中堅企業」にも拡大されたと報じられています。詳細な国内の罰則規定は加盟国が定めており、第99条は2025年8月2日から適用されています。GPAI提供者は、欧州委員会により最大1,500万ユーロまたは3%の罰金を科される可能性があります。

延期された義務に結びついた罰則は、その義務が適用されて初めて効力を持ちます。一部の旧い条文では、高リスクに関する罰則が2026年8月2日から始まると記されたままになっていますが、これはもはや正確ではありません。

組織は今何をすべきか？

禁止事項、AIリテラシー、GPAIの規則はすでに適用されているため、適用延期は準備を止める理由にはなりません。実務上の第一歩は、自社が開発、購入、販売しているAIシステムを棚卸しし、それぞれをリスク区分に当てはめることです。

高リスクの提供者にとって、文書の作成、データガバナンス、人間による監督のプロセスの構築には時間がかかるため、2027年12月は見た目以上に近いといえます。正確な詳細については、二次的な要約ではなく、EUR-Lex、欧州委員会のAI法ページ、AIオフィスを参照してください。